PHP Foundation on myöntänyt, että päätöksentekoon liittyvät ongelmat ja rajalliset resurssit viivästyttivät tietoturvakorjausta haavoittuvuuteen, joka havaittiin ensimmäisen kerran vuonna 2024. Kun kahden siihen liittyvän kriittisen haavoittuvuuden hätäkorjaukset julkaistiin keskiviikkona, viranomaiset ja muut organisaatiot ottivat verkkosivustojaan varotoimena pois käytöstä.

Tärkeimmät huomiot

  • Säätiö kutsui viivästynyttä reagointia rakenteelliseksi epäonnistumiseksi, joka liittyi sen tietoturvaprosessiin ja resursseihin.
  • Haavoittuvuudet voivat antaa tunnistautumattomille hyökkääjille mahdollisuuden suorittaa koodia haavoittuvilla palvelimilla.
  • Kryptoalan organisaatiot arvioivat altistumistaan, kun taas Coinbase ja BitGo ilmoittivat, ettei niillä ollut haavoittuneita järjestelmiä.

Sisällysluettelo

PHP:n tietoturvakorjaus jumittui yhteensopivuus- ja henkilöstöongelmiin

Säätiön selvityksessä huomio kohdistuu siihen, miten tunnettu tekninen ongelma jäi kuukausiksi ratkaisematta. Kehittäjät havaitsivat merkkejä haavoittuvuudesta vuonna 2024, mutta heidän oli vaikea löytää ratkaisua, joka ei häiritsisi PHP:n varaan rakentunutta laajaa ohjelmistoekosysteemiä. PHP on laajalti verkkosivustoissa ja verkkosovelluksissa käytetty ohjelmointikieli.

Tuolloin kehittäjät eivät olleet löytäneet keinoa etäkoodin suorittamiseen. Pieni ryhmä, jolla oli tarvittavaa PHP:n moottorin tuntemusta, hoiti myös muita tehtäviä, minkä vuoksi korjaustyö keskeytyi ja käynnistyi toistuvasti uudelleen, säätiö kertoi.

Säätiö kuvaili viivettä ”rakenteelliseksi epäonnistumiseksi”, jonka taustalla olivat sekä tietoturvaryhmän päätöksentekoprosessi että riittämättömät resurssit.

Ongelma nousi tietoturvan tärkeimmäksi prioriteetiksi sen jälkeen, kun tietoturvayhtiö Calif ja OpenAI ilmoittivat itsenäisesti samasta taustalla olevasta ongelmasta 11. elokuuta. Calif osoitti, että haavoittuvuuden kautta oli mahdollista suorittaa koodia etänä ilman ehtoja.

Varotoimena tehtävät sulkemiset levisivät julkisiin palveluihin

Hätäjulkaisut aiheuttivat häiriöitä useissa maissa, kun palveluntarjoajat irrottivat palveluja käytöstä valmistellessaan päivityksiä. Alankomaat sulki digitaalisen henkilöllisyyspalvelunsa, ja maan kansallinen kyberturvallisuuskeskus otti myös oman verkkosivustonsa pois käytöstä.

Suomen valtion IT-palveluntarjoaja Valtori irrotti valtion julkiset verkkopalvelut käytöstä, ja Ranskan sisäministeriö poisti väliaikaisesti prefektuurien verkkosivustot käytöstä. Myös Saksan valtion IT-palveluntarjoaja ITZBund poisti käytöstä useita verkkosivustoja.

Australian viestintävirasto ASD kertoi, että PHP-ongelma vaikutti muun muassa valtion verkkosivustoon cyber.gov.au. Japanin pääministeri Sanae Takaichi kehotti palveluntarjoajia valmistautumaan nopeisiin korjauksiin ja totesi, että verkkosivustojen toimintojen väliaikainen keskeyttäminen voisi vähentää riskiä, jos päivityksiä ei ollut mahdollista asentaa heti.

Myös Wikimedia Foundation otti tukipalveluja pois käytöstä. Näihin kuuluivat Toolforge ja Cloud VPS, mikä vaikutti joihinkin Wikipedian toimintoihin keskiviikkona.

Kryptoyhtiöt arvioivat mahdollista altistumistaan

Lohkoketjuturvallisuuteen erikoistunut yhtiö SlowMist kertoi, että sen MistEye-palvelu havaitsi suoria PHP-sormenjälkiä 793:ssa 1 488:sta arvioidusta kryptoalan verkkotunnuksesta. Se kehotti pörssejä, DeFi-alustoja ja lompakkopalvelujen tarjoajia arvioimaan altistumistaan ja päivittämään järjestelmänsä. Havainnot osoittivat PHP:n käytön, eivät sitä, että kyseiset verkkotunnukset olisivat haavoittuvia.

Cardanon kehitystä ja hallintoa tukeva jäsenjärjestö Intersect sulki väliaikaisesti Members Area -alueensa arvioidessaan mahdollista altistumistaan.

Coinbasen tietoturvajohtaja Jeff Lunglhofer kertoi, ettei yhtiö löytänyt näyttöä altistuneista PHP-asennuksista ja että se tarkisti tilannetta myös kolmansien osapuolten toimittajiltaan. BitGo ilmoitti erikseen, ettei sen alustaan kohdistunut vaikutuksia.

Hyökkäysten tila on erotettava osoitetusta riskistä

Vaikka etäkoodin suorittamisen riski oli osoitettu, PHP:n tietoturvaryhmä kertoi, ettei se ollut julkistamishetkellä havainnut toimivia hyväksikäyttömenetelmiä.

OpenAI julkaisi GitHubissa Codex-taidon, jonka avulla palveluntarjoajat voivat tarkistaa mahdollisesti haavoittuvat PHP-versiot ja tunnistaa niihin soveltuvat päivitykset.

Yhteenveto

Hätäkorjaukset poistavat välittömän haavoittuvuusriskin, ja säätiön myöntämä viivästys puolestaan tuo esiin ongelmat korjausten viivästyttäneessä prosessissa. Raportoidut palveluiden sulkemiset olivat varotoimia, eivät näyttöä siitä, että kyseisiin organisaatioihin olisi murtauduttu.

Lue lisää uutisia

Lisää FinanceVelix-uutisia

Vastuuvapauslauseke

Tämä FinanceVelixin artikkeli sisältää yleistä tietoa, eikä se ole henkilökohtaista taloudellista, sijoitus-, oikeudellista tai veroneuvontaa. Markkinahinnat, korot ja taloudelliset olosuhteet voivat muuttua; sijoittamiseen liittyy tappion riski. Tiedot perustuvat julkaisuhetkellä saatavilla olleeseen aineistoon, ja ne voivat muuttua. Tarkista tärkeät tiedot itsenäisesti ja ota tarvittaessa yhteyttä pätevään ammattilaiseen. Omaisuuserän, yhtiön tai palvelun mainitseminen ei ole suositus.